等保二级和三级费用差距：从指标到整改的投入账-等保测评网

企业问「二级和三级差多少」，多半期待一个干净的倍数。真到做预算时才发现，测评费只是账面上最显眼的一小块，真正的差距藏在指标项数、整改范围、密码应用和复测节奏里。同一家单位、同一套业务系统从二级走到三级，三年总投入常见的量级是二级的两到四倍，而不是报价单上那一点八倍。

两个价格参照：统一采购价与市场报价

统一采购框架价：淮南市 2025—2027 年度网络安全等级保护测评服务框架协议（淮数资〔2025〕10 号，2025 年 7 月 30 日印发）明确，二级等保按 1.72 万元、三级等保按 3.1 万元执行，由入围的六家机构直接签约，服务期至 2027 年 6 月，并明令禁止超标准采购。这类价格是财政统一招标压出来的下限，可以当参照，不宜直接套到企业项目上。
市场化报价：多家服务商与行业口径给出的区间是二级 2 万至 5 万元每个系统、三级 5 万至 10 万元每个系统；系统数量多、多节点部署、业务复杂的会更高，也有口径把三级报到 8 万至 15 万元。差异来自测评人天、系统规模和属地机构成本。

两组参照一对照，测评费本身大约是 1.7 至 2 倍。但这笔钱相当于体检费，结论只对测评当时的状态有效，不包含此前的整改。

按 GB/T 22239-2019，二级是 68 个控制点、135 个要求项；三级是 71 个控制点、211 个要求项。控制点只多三个，要求项多出七十六个。多出来的不是新增章节，而是同一批控制点里被抬高的强度。

读这张表就明白钱花在哪：安全区域边界多九项、安全计算环境多十一项、安全管理中心多八项、安全运维管理多十七项。增量集中在技术落地和运维留痕，这两块恰好是设备、配置和人力的支出项，也解释了为什么三级整改总比预算超。

这四条翻译成采购清单就是堡垒机、日志审计或态势感知平台、双因素认证（涉及国密改造时另计）、主机与终端加固。它们不是可选项，而是三级的技术门槛，也是三级报价里压不下去的硬件成本。

行业口径普遍认为整改占总投入一半以上，老旧系统占比更高。具体到两个级别：

二级：安全区域边界策略、主机基线加固、日志留存不少于六个月、制度与应急预案。上云的系统多数能靠安全组加基线配置覆盖大半，增量设备有限。
三级：在二级基础上加集中管控、审计留存与分析、入侵防范、恶意代码防范、数据备份与恢复、密码应用。若系统属关键信息基础设施或属地另有要求，还要单独安排商用密码应用安全性评估，这笔支出通常不在测评合同里。
老旧系统：无法打补丁、不支持双因素、日志字段不全，改造往往要动应用代码，这一项最容易被低估，也最容易拖长周期。

具体要补多少项，取决于现状与目标等级的差距，建议先做一轮差距分析再定预算，别按同行清单直接下单。可参考等保整改清单里的常见不符合项对照自查。

测评周期：服务商口径下二级约 7 至 15 个工作日、三级约 20 至 35 个工作日，均不含整改时间；实际项目从启动到拿报告常见一到三个月，复杂系统更久。
测评频次：三级及以上每年至少一次，二级原则上每两年一次，行业主管另有更严规定的从其规定。
三年账：二级是首测加一次复测准备，三级是三次测评。测评费按三倍计，再叠加每年复测前的自查与整改维护，摊薄后的差距明显大于单次报价的倍数。

周期和节点可对照等级测评流程安排，把整改窗口压在业务低峰期，比事后抢工期省钱。

只按测评费做预算：测评机构只对当时状态出结论，报告不覆盖整改。预算要按定级备案、整改建设、等级测评、年度复测四块排，报名和材料准备的时间也算成本。
为省钱压等级：定级偏低，公安备案审查不通过要重新定级；业务涉及大量个人信息或属于关键信息基础设施时，压等级还会带来监管风险。定级和备案的口径见定级备案。
拿二级清单套三级：附录 A 的用法是先按整体级别取一套要求，再按业务信息与系统服务各自的等级校准，叠加云计算、移动互联等扩展要求，最后按行业规定补充。同是三级，两家单位的指标未必逐条相同，照抄别家清单必然漏项。

回到最初的问题：二级和三级的费用差距，单看测评费约 1.7 至 2 倍，把整改和三年复测算进来，常见是两到四倍。要一个能直接进预算的数，先定级、再做差距分析，最后按四块拆开报价。整体费用的构成逻辑可参考等保费用怎么算。各地备案材料、测评频次和补贴政策存在差异，最终金额和周期以属地要求为准。